一文搞懂EXP交换机安配置！手把手教你避坑，真的不难！
哎呦喂,兄弟们，今天咱们来聊一个让不少新手朋友头疼的问题——怎么写EXP交换机安，是不是光看这个关键词就有点懵？我跟你们说，当初我刚开始搞网络工程的时候，看到“EXP”这三个字母，脑子里全是“Experience”？还是“过期”？哈哈，其实都不是！
咱们今天不整那些虚头巴脑的理论,就实实在在聊聊这个EXP交换机安到底怎么搞。这篇文章我会用最接地气的方式，把我自己的实战经验掰开了揉碎了讲给你听，保证你看完觉得“卧槽，原来这么简单”！
先搞明白：EXP交换机安到底是个啥？
咱们先别急着上手敲命令,你得先明白咱们在干嘛，EXP，全称是Express，但通常咱们说的EXP交换机安，其实更多是指在华为或者华三这些交换机上，配置那个扩展安全策略，或者更直白点，就是通过命令行去配置交换机的高级访问控制和安全过滤。
说白了,就是咱们要给这个“傻乎乎”的交换机装上“脑子”，告诉它：哪些数据包能进，哪些不能进，谁有资格访问网络，谁要给我滚蛋，你说这重要不重要？太重要了！不然网络随便谁都能进来搞破坏，公司还怎么运转？
第一步：登陆设备，稳稳当当
好,咱们现在开始真刀真枪的操作，你得连上交换机吧？这个一般用Console线或者SSH都行，我就是喜欢用SecureCRT或者Xshell这种软件，看着界面就亲切。
连接上去之后,你会看到类似 <Huawei> 这样的提示符，这时候别激动，先进入系统视图，命令是：
system-view看,是不是很简单？进来了之后，提示符会变成 [Huawei]，感觉就像你进了自己家门，可以开始“装修”了。
第二步：配置安全策略，这是核心中的核心！
现在咱们就要开始写“EXP交换机安”的重头戏了，这里我强烈建议，咱们先创建一个安全区域，比如把内网划成“Trust区”，外网划成“Untrust区”，这时候你是不是想问：“哎，这有什么用呢？”
哎呀,你听我说嘛！这就是为了管理方便！我举个我自己的例子：
[Huawei] firewall zone trust
[Huawei-zone-trust] add interface GigabitEthernet0/0/1看到了吗？我把接内网的端口扔进了“Trust”区域，咱们创建策略，允许内网访问外网，但外网不能随便进内网，命令大概是这样的：
[Huawei] policy interzone trust untrust outbound然后你就可以指定源地址、目的地址，还有协议端口啥的。这里我踩过一个坑，就是当时没限制协议，结果P2P下载把带宽全吃光了！气得我当时就想砸键盘！所以兄弟们，一定要限制啊！比如只允许HTTP和HTTPS流量出去：
[Huawei-policy-interzone-trust-untrust-outbound] policy source 192.168.1.0 0.0.0.255
[Huawei-policy-interzone-trust-untrust-outbound] policy service http https
[Huawei-policy-interzone-trust-untrust-outbound] action permit这么一搞,是不是就安全多了？嘿嘿，感觉心里踏实多了。
第三步：别忘了防攻击和加固！
光有访问控制还不够,咱们还得防着点那些“不怀好意”的家伙。防止SYN Flood攻击，这个对新手来说可能有点陌生，但你要知道超重要的！你可以开启TCP的SYN代理：
[Huawei] anti-ddos-syn-flood enable看到没,就这么简单一句，交换机就能给你的服务器挡不少事儿了！还有啥？关闭不必要的服务端口，比如如果不用telnet，就把23端口关掉，省得被人爆破密码。
不过说实话,现在很多网工兄弟还是习惯用Web界面去配置，真是急死人。我建议你们真的学学命令行，这才是提升B格的必经之路啊！ 你想想，你在那边敲键盘，旁边小菜鸟一脸崇拜地看着你，这不香吗？
最后一步：保存！不然白费功夫！
哎呀,说了这么多，口干舌燥的，最后一步超级重要！配置完了，你千万别直接关机走人啊！一定得保存配置，不然断电重启，一切就回到解放前了，那真是哭都没地方哭去。
[Huawei] save它会问你确认吗？输入 Y 就行。
总结一下我的心得吧！
好啦,唠了这么多，怎么写EXP交换机安，其实没那么玄乎，就是分三步走：建区域、写规则、防攻击，核心思想就是对流量进行精细化管理，初学者可能会觉得命令记不住，没事儿的，我一开始也记不住，天天翻手册，做成笔记贴在显示器边上，没什么好丢人的！
兄弟我真的建议,家里有条件就搭个虚拟机环境或者买个二手交换机练手，实践出真知，不然你光看书，看到天荒地老也学不会。
好啦,今天的分享就到这儿啦！如果你正在学习网络安全，或者对交换机配置还一头雾水，想找个人问问，可以加QQ：66666666（注意不是机器人哦，是真人网工），咱们一起交流交流，一起进步嘛！
希望我的这点小经验能帮到你,别走弯路啦！下次见！
